Durante la mayor parte de mi carrera, las pruebas de tarjetas eran el problema de fraude del que nadie se molestaba en hablar.
Todos los equipos de fraude sabían que existía. Veíamos la oleada de transacciones de 1 dólar en una tranquila mañana de martes, nos encogíamos de hombros, aplicábamos una regla de velocidad y seguíamos adelante. Las pérdidas eran insignificantes, si es que siquiera se reportaban contracargos. Había problemas mucho más importantes que atender.
Pero en 2026, eso cambió.
Esta publicación está dirigida a los comercios y adquirentes que empiezan a sentir la presión, aquellos que de repente ven que las pruebas de tarjetas aparecen en conversaciones sobre programas de los esquemas, presentaciones al consejo y llamadas de escalación.
Quiero explicar qué es realmente la prueba de tarjetas, por qué la utilizan los estafadores, por qué ahora es más importante que nunca y cómo detenerla sin tener que desmantelar por completo tu stack de prevención de fraude.
Cómo funciona realmente la prueba de tarjetas
Lo primero que hay que entender es que los estafadores no compran tarjetas robadas de una en una. Las compran al por mayor, por cientos, a veces incluso por miles. Hay tres razones para ello.
Primero, precios por volumen. Las tarjetas robadas son una mercancía y, como cualquier otra mercancía, el precio por unidad baja cuando compras más. Si vas a cometer fraude a gran escala, como hacen la mayoría de los estafadores profesionales, comprar al por mayor mejora tu retorno de inversión desde el primer día.
En segundo lugar, la escala es simplemente su forma de operar. El fraude a este nivel funciona como una empresa: herramientas coordinadas, división del trabajo y canalizaciones automatizadas que pueden procesar miles de tarjetas en el tiempo que le lleva a un analista de fraude escribir una regla. Hemos escrito más sobre cómo se estructuran y escalan las operaciones de fraude modernas si quieres tener una visión completa. Por ahora, lo importante es que comprar tarjetas por cientos es simplemente cómo se ve el lado de la oferta de esa operación.
En tercer lugar, y aquí es donde se pone realmente interesante, muchas de esas tarjetas ya están inactivas cuando el estafador las recibe.
La cuestión es esta: los estafadores se estafan entre ellos constantemente. Si yo soy un hacker que roba 1.000 tarjetas, nada me impide vender esas mismas 1.000 tarjetas a varios compradores. Y eso pasa. Mucho. Así que, cuando un estafador compra un lote, una parte importante de las tarjetas que contiene puede haber sido usada ya por un comprador anterior. El titular de la tarjeta las denunció, el emisor las bloqueó y ahora esas tarjetas no valen nada.
Pero el estafador no sabe qué tarjetas son cuáles. Y esto crea un problema de retorno de la inversión.
Imagina que acabas de comprar 1.000 tarjetas por unos pocos miles de dólares. Para monetizar correctamente cada una, necesitas un dispositivo nuevo, una sesión de VPN limpia, una cuenta de correo electrónico nueva y, a veces, un nuevo mula de envíos. Esa preparación cuesta dinero real y tiempo real en cada intento.
Ahora imagina que pones en marcha toda esa infraestructura para una tarjeta que resulta estar inactiva. Acabas de desperdiciar toda la preparación para nada.
Esto crea una especie de situación sin salida para los estafadores. Por un lado, invertir a fondo en cada tarjeta reduce significativamente el retorno de la inversión. Pero por otro lado, no invertir nada aumenta las probabilidades de que no logren monetizar las tarjetas activas que sí tienen, lo que nuevamente lleva a un menor retorno de la inversión.
La solución obvia a esto es probar primero las tarjetas. Tomas todas las tarjetas de tu lote y realizas de forma sistemática transacciones muy pequeñas con ellas, normalmente de un dólar, a veces menos.
El objetivo no es monetizar, sino averiguar qué tarjetas siguen activas. Las tarjetas que pasan van al montón de “monetizar”. Las que fallan se desechan.
Dado que el objetivo de las pruebas de tarjetas es diferente del fraude de tarjetas “clásico”, también suele verse distinto. Las pruebas de tarjetas a menudo afectan a comercios en los que menos lo esperarías. Los estafadores prefieren utilizar como campo de pruebas objetivos con poca supervisión, como las plataformas benéficas que permiten donaciones de importe abierto.
Al mismo tiempo, la mayoría de los sistemas de detección de fraude son sensibles al importe de forma predeterminada. Esto es cierto en todos los niveles, desde el comercio y el PSP hasta el adquirente y el emisor. Un cargo de 1 $ pasa controles que marcarían un cargo idéntico de 200 $.
Los estafadores no son ajenos a ninguno de esos factores. El efecto combinado hace que les resulte mucho más fácil eludir los sistemas de prevención de fraude.
Eso es la prueba de tarjetas: barata, automatizada, con poca infraestructura y, a menudo, invisible.
Tres razones por las que las pruebas con tarjetas ahora son tu problema
Hasta hace poco, la respuesta honesta a esta pregunta era: «probablemente no deberías».
Si un estafador pasa 500 tarjetas por tu proceso de pago a 1 dólar cada una, tu pérdida directa es de 500 dólares. Y eso solo si cada prueba tiene éxito, cosa que no ocurrirá. De todos modos, la mayoría de las transacciones de prueba se bloquean a nivel de tarjeta.
Pero hay tres razones por las que deberías preocuparte por las pruebas de tarjetas después de todo. Dos de ellas siempre han sido ciertas. Una es nueva.
Primera razón: VAMP cambió los números
Cuando Visa lanzó su programa unificado de fraude, el Visa Acquirer Monitoring Program, o VAMP, integró el anterior Visa Fraud Monitoring Program y el Visa Dispute Monitoring Program en un único marco. Aún más importante, añadió un umbral de enumeración explícito que registra los casos de fraude por número de incidencias, no por volumen en dólares.
En los programas anteriores, una oleada de prueba de 500 tarjetas que generaba 500 dólares en pérdidas apenas merecía una nota al pie. Pero bajo VAMP, esa misma oleada puede hacer que superes un umbral de enumeración y entres en el programa, lo que conlleva multas, un mayor escrutinio por parte de tu adquirente y, en algunos casos, comisiones de intercambio más altas.
De repente, el costo financiero de las pruebas de tarjetas ya no son los 500 $ que perdiste en las pruebas. Son las sanciones que asumes al entrar en el programa. En casos extremos, tu adquirente incluso podría dejar de trabajar contigo por completo.
Si quieres un desglose completo de cómo VAMP calcula las tasas de enumeración, qué hacen ahora RDR y CDRN (y qué ya no hacen), y cómo encaja Compelling Evidence 3.0, nuestro cofundador Zahid Shaik escribió un artículo detallado sobre VAMP aquí.
No voy a repetir aquí la mecánica. Lo que sí vale la pena destacar es la parte que la mayoría de las conversaciones sobre pruebas de tarjetas omiten: las cifras reales.
Métrica | Umbral | Qué lo desencadena |
Proporción de enumeración VAMP | ≥ 2.000 bps (tanto intentos aprobados COMO rechazados) | Intentos de autorización aprobados y rechazados combinados |
Recuento mínimo de transacciones de enumeración | ≥ 300.000 autorizaciones enumeradas (aprobadas + rechazadas) por mes | Autorizaciones enumeradas (aprobadas + rechazadas) |
Riesgo | Multas, mayor escrutinio de los adquirentes y comisiones de intercambio más altas | Campaña sostenida de pruebas de tarjetas dentro de un solo mes |
La conclusión: VAMP también te penaliza por el número de operaciones, no solo por el importe en dólares. Un comercio no necesita estar perdiendo seis cifras por fraude para entrar en el programa. Basta con que tenga una proporción suficientemente alta de autorizaciones enumeradas frente al total de autorizaciones, con un volumen mínimo, algo que una campaña sostenida de prueba de tarjetas puede generar fácilmente en un mes.
La ventana para detectar las pruebas de tarjetas es breve y se está reduciendo con la IA agente
Razón dos: Las pruebas de tarjetas contaminan tus datos
La mayoría de la gente no habla de esto. Pero debería hacerlo.
El asunto con las transacciones de prueba de tarjetas que pasan, las que se autorizan y se liquidan, es este: la mayoría de las veces nunca se revierten ni se generan contracargos.
¿Por qué? Porque le cuesta más al verdadero titular de la tarjeta y al emisor presentar un contracargo que el dólar que podrían recuperar. El titular de la tarjeta puede que ni siquiera note el cargo.
Así, esa transacción fraudulenta permanece en tu conjunto de datos, sin marcar, y con el tiempo se trata como legítima. Ahora multiplícalo por decenas de miles de transacciones de prueba de tarjetas a lo largo de meses. Has tomado un patrón claramente fraudulento, repleto de importes pequeños, métodos de pago completamente nuevos, sin historial de pedidos y sin direcciones de envío reutilizadas, y sin darte cuenta lo has etiquetado como bueno.
A tus modelos y tus reglas ahora les resulta más difícil separar el fraude del no fraude, porque parte de lo que están aprendiendo proviene de fraudes que nunca fueron etiquetados.
Es una degradación lenta e invisible. Para cuando notes que tu rendimiento de detección ha empeorado, ya habrás dejado que un año de etiquetas incorrectas entre en tu conjunto de entrenamiento.
Razón tres: las pruebas de tarjetas exponen la infraestructura del estafador
Esta es la razón más interesante y la que la mayoría de los equipos no aprovecha.
Los estafadores no invierten mucho en las pruebas de tarjetas. Ese es precisamente el objetivo de las “pruebas”. Por eso suelen depender de infraestructura barata y expuesta para hacerlo:
- Rangos de IP de centros de datos conocidos o proveedores de VPN de baja calidad
- Dispositivos que no se molestan en falsificar cuidadosamente sus huellas digitales
- Dominios de correo electrónico utilizados para crear en masa cuentas desechables
Nada de eso cuesta mucho ponerlo en marcha, y nada de eso cuesta mucho desecharlo. Esa es la superficie que te muestran.
La jugada aquí es sencilla: bloquea estos activos en tu lista negra.Alguna parte de ellos se reutilizará, ya sea por los mismos estafadores o por otros completamente distintos, en ataques de mayor valor contra ti.
Bloquearlos en origen no solo evita las pruebas baratas, sino también una parte de los ataques costosos que vienen después.
Por qué las pruebas de tarjetas son más fáciles de detectar que la mayoría de los fraudes
Las pruebas de tarjetas pueden ser un problema molesto. Pero, por suerte, detenerlo es uno de los problemas de fraude más fáciles de resolver, una vez que decides tomártelo en serio.
No estoy diciendo que no sea un problema; acabo de explicar por qué importa. Lo que digo es que la tipología de las pruebas de tarjetas hace que sean rastreables de una manera en que la mayoría de los problemas de fraude no lo son.
En concreto, hay dos cosas que son ciertas en casi todas las campañas de prueba de tarjetas que verás.
Primero, está automatizado.Antes solían ser bots con scripts que golpeaban un endpoint en bucle. La próxima ola que esperamos son sistemas agénticos: más sofisticados, más adaptativos, pero que en última instancia siguen operando a velocidad y escala de máquina.
La forma de ataque seguirá evolucionando, pero el hecho de que esté automatizado no cambiará.
En segundo lugar, los estafadores no pueden permitirse cambiar constantemente de infraestructura. La razón principal por la que están haciendo pruebas es gastar lo menos posible en cada intento.
Si tuvieran un presupuesto ilimitado para dispositivos nuevos, IPs y cuentas de correo electrónico en cada prueba, ya estarían monetizando. Por eso, el mismo puñado de dispositivos, IPs y dominios de correo suele aparecer en cientos o miles de intentos.
Si combinas esas dos propiedades, la respuesta es una configuración de detección por capas que combina biometría de dispositivo y de comportamiento (DIBB), con completos contadores de velocidad.
La capa DIBB detecta la señal de automatización. Cuando un “usuario” llega con una huella digital del dispositivo manipulada y con señales de comportamiento que gritan que es un script (sin movimiento del ratón, sin un ritmo de escritura realista, tiempos de sesión idénticos entre intentos), el dispositivo cuenta la historia antes incluso de que la transacción llegue a la autorización.
En paralelo, la capa de velocidad detecta la señal de escala. ¿Cuántos intentos de autenticación se han hecho desde este dispositivo en la última hora? ¿Cuántos desde esta IP en todos nuestros comercios? ¿Cuántas pruebas contra el mismo rango de BIN? ¿Con qué rapidez estamos rotando por nuevos números de tarjeta?
Cada una de esas preguntas es fácil de responder y muy informativa cuando la respuesta resulta ser alta.
Ninguna de las capas por sí sola es suficiente. Un bot sofisticado a veces puede superar la verificación del dispositivo. Un estafador paciente a veces puede mantenerse por debajo de los umbrales de velocidad.
Pero la combinación es la señal inequívoca de las pruebas de tarjetas, punto. Si tienes ambas capas conectadas entre sí, detectarás la gran mayoría de las campañas de pruebas de tarjetas antes de que afecten de forma significativa a tu ratio VAMP.
Cuando te pongas a hacerlo, aquí tienes algunas notas para hacerlo bien de parte de un exprofesional:
- No solo bloquees, etiqueta.La infraestructura que se expone durante las pruebas es información que podrás aprovechar después. Si tu stack solo bloquea las pruebas de tarjetas sin conservar lo que aprendió, estás tirando por la borda la mitad del valor.
- No establezcas umbrales de velocidad solo en función del volumen de pruebas. Establécelos en función de la combinación entre el volumen de pruebas y el solapamiento de la infraestructura. “Vi 200 intentos de autenticación desde esta IP” es una señal. “Vi 200 intentos de autenticación desde esta IP, contra 200 BIN diferentes, todos rechazados” es una imagen completa.
- No des por hecho que el estafador seguirá haciendo pruebas para siempre. En cuanto consigan lo que necesitan de la fase de prueba, pasarán a la monetización, normalmente con una infraestructura más limpia, días o semanas después. La ventana para aprender de la fase de prueba es más corta de lo que la gente cree y, con la IA agente de por medio, esa ventana se está volviendo cada vez más pequeña.
Dónde fallan la mayoría de los stacks antifraude
Las pruebas de tarjetas no son el problema de fraude más difícil de resolver, pero hacerlo bien a gran escala, con las capas de DIBB y de velocidad realmente integradas entre sí, es donde la mayoría de las pilas de fraude se quedan cortas. Ahí es donde encaja Sardine.
Los elementos básicos de DIBB que describí son capacidades fundamentales de la plataforma: huellas digitales de dispositivos que resisten la rotación de ID, detección real de IP que atraviesa VPN y proxies, y biometría de comportamiento que distingue en tiempo real a los humanos de los bots.
Además de eso, nuestra capa de velocidad se puede configurar según cualquier criterio que necesites, ya sea por dispositivo, IP, BIN o cuenta, entre comercios y en todo el consorcio. Y nuestros datos del consorcio significan que la infraestructura utilizada para probar tarjetas con un cliente se ve como riesgosa en el siguiente, incluso antes del primer intento.
Esa es la ventaja que se multiplica con el tiempo. Las pruebas de tarjetas dejan al descubierto infraestructura barata. La infraestructura barata se comparte. Y una red que aprende de cada comercio que la integra convierte esa exposición en una señal que beneficia a todos.
